В конце июля GitHub объявил, что включит данные из репозитория вредоносных пакетов OpenSSF (Open Source Security Foundation) в свою консультативную базу данных. С тех пор дочерняя компания Microsoft выпустила предупреждения безопасности для восьми экосистем пакетов crates.io, Go, Maven, NuGet, npm, PHP Composer, PyPI и RubyGems — раньше это было возможно только для пакетов npm. Теперь OpenSSF делает вывод: в репозитории OpenSSF оказалось более 238 000 отчетов о вредоносных пакетах.
Подробности читайте после объявления
Репозиторий OpenSSF, запущенный в 2023 году и содержащий более 15 000 записей, представляет собой общедоступную базу данных, поддерживаемую сообществом и использующую формат уязвимостей с открытым исходным кодом (OSV). GitHub уже был одним из трех исходных источников данных на момент его запуска, и теперь с GitHub поступает более 28 000 отчетов о вредоносных программах, отмечает OpenSSF в своем блоге, посвященном тематическому исследованию. Также названы другие поставщики данных для вредоносных пакетов: собственный проект OpenSSF Package Analysis, а также Amazon Inspector, Checkmarx, Google и ReversingLabs.
По оценкам Анкита Кумара Хани, старшего технического менеджера GitHub и руководителя команды Dependabot по безопасности цепочки поставок, расширение собственных методов обнаружения в восьми экосистемах заняло бы годы, как указано в объявлении GitHub от августа 2026 года. Поэтому GitHub использовал уже доступный источник. «Между тем, OpenSSF уже решил проблему агрегации для всех», — сказал Хани.
Dependabot предупреждает при согласии
GitHub разработал собственный инструмент для импорта данных. Он рассматривает отчеты, унифицирует записи и обрабатывает отозванные рекомендации. В то же время это предотвращает двойной импорт собственных материалов GitHub. Средства защиты включают ограничения на пакеты импорта, возможность отслеживания исходных коммитов и возможность отката целых пакетов.
Доступ к оповещениям о вредоносных программах можно получить через Dependabot, сервис GitHub для мониторинга зависимостей проекта. Они доступны в каждом репозитории, где включены предупреждения Dependabot, но их также необходимо включить там. Организации и предприятия могут развертывать их коллективно с помощью конфигураций безопасности. Любой, кто уже активировал предупреждения о вредоносном ПО, автоматически получит расширенное покрытие.
Подробности читайте после объявления
В консультативной базе данных GitHub отчеты о вредоносном ПО также можно фильтровать с помощью фильтра type:malware просматривать. Если внутренний пакет имеет то же имя, что и вредоносный общедоступный пакет, могут возникнуть ложные срабатывания. Их можно уменьшить с помощью правил автоматической сортировки для Dependabot. Однако встроенное правило «Отклонить оповещения о вредоносных программах для пакетов», которое по умолчанию отключено, также отклоняет предупреждения о зависимостях, которые на самом деле являются вредоносными во всех версиях.
Читайте также
(мро)
